§ 8 Registrierung kritischer Anlagen; Geltungszeitpunkt

(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate nachdem eine Anlage als kritische Anlage gilt, die kritische Anlage in der Registrierungsmöglichkeit nach § 33 BSIG zu registrieren und dabei folgende Angaben zu übermitteln:

1. den Namen des Betreibers kritischer Anlagen, einschließlich der Rechtsform und, falls einschlägig, die Handelsregisternummer,

2. die Anschrift und aktuelle Kontaktdaten des Betreibers der kritischen Anlage, einschließlich der E-Mail-Adresse, der öffentlichen IP-Adressbereiche und der Telefonnummer,

3. den Sektor und, falls einschlägig, die Branche, zu dem oder zu der die kritische Anlage gehört, sowie die kritische Dienstleistung, für deren Aufrechterhaltung die Anlage erheblich ist,

4. soweit einschlägig, die Kategorie der kritischen Anlage und deren Werte zum Versorgungsgrad gemäß der Rechtsverordnung nach § 5 Absatz 1 sowie den Standort der kritischen Anlagen und deren Versorgungsgebiet,

5. falls einschlägig, eine Auflistung der Mitgliedstaaten der Europäischen Union, in denen oder für die der Betreiber kritischer Anlagen wesentliche Dienste im Sinne des Artikel 2 Nummer 5 der Richtlinie (EU) 2022/2557 und des Artikels 2 der Delegierten Verordnung (EU) 2023/2450 erbringt und welche wesentlichen Dienste er in welchen oder für welche Mitgliedstaaten erbringt,

6. eine Kontaktstelle, über die der Betreiber kritischer Anlagen erreichbar ist.

(2) Rechtfertigen Tatsachen die Annahme, dass eine Anlage eine kritische Anlage ist und der Betreiber seine Pflicht zur Registrierung nicht erfüllt, so kann das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe von dem Betreiber verlangen, Aufzeichnungen, Schriftstücke und sonstigen Unterlagen vorzulegen sowie Auskünfte zu erteilen, soweit dies erforderlich ist, um festzustellen, ob die Anlage kritisch ist. Können bestimmte Unterlagen oder Auskünfte aus Gründen des Geheimschutzes, der überwiegenden Sicherheitsinteressen oder des überwiegenden Schutzes von Handels- oder Geschäftsgeheimnissen nicht vorgelegt oder erteilt werden, stellt der Betreiber die erforderlichen Informationen auf andere Weise zur Verfügung.

(3) Wenn der Betreiber kritischer Anlagen seine Pflicht zur Registrierung nicht erfüllt, kann das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe nach Anhörung des Betreibers die Registrierung selbst vornehmen. Die Vornahme der Registrierung bedarf des Einvernehmens des Bundesamts für Sicherheit in der Informationstechnik und, falls die zuständige Behörde eine Behörde des Bundes ist, ihres Einvernehmens oder, falls die zuständige Behörde eine Behörde des Landes ist, ihres Benehmens.

(4) Das Bundesamt für Sicherheit in der Informationstechnik und die zuständigen Behörden können dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe Vorschläge für die Registrierung nach Absatz 3 weiterer Betreiber kritischer Anlagen unterbreiten und übermitteln dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe die erforderlichen Informationen zur Identifizierung der Betreiber kritischer Anlagen.

(5) Dem Betreiber kritischer Anlagen wird die zuständige Behörde durch das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe spätestens zwei Wochen nach der Registrierung schriftlich oder elektronisch mitgeteilt. Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe informiert die nach § 3 jeweils zuständige Behörde unverzüglich über jede erfolgte Registrierung.

(6) Bei Änderungen der nach Absatz 1 zu übermittelnden Angaben sind über die in Absatz 1 genannte Registrierungsmöglichkeit geänderte Werte zum Versorgungsgrad einmal jährlich zu übermitteln und alle anderen Angaben unverzüglich, spätestens jedoch zwei Wochen ab dem Zeitpunkt, zu dem der Betreiber kritischer Anlagen von der Änderung erfahren hat, zu übermitteln. Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe informiert die zuständige Behörde unverzüglich über Änderungen nach Satz 1.

(7) Die Verpflichtungen nach § 12 gelten für den Betreiber einer kritischen Anlage erstmals neun Monate, die Verpflichtungen nach den §§ 13, 18 und 20 erstmals zehn Monate nach deren Registrierung.

(8) Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe legt die Einzelheiten zur Ausgestaltung des Registrierungsverfahrens im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik fest. Die Festlegung nach Satz 1 erfolgt durch eine öffentliche Mitteilung auf der Internetseite des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe.